Расшифровка капчи: Расшифровка капчи. Обход капчи с помощью OCR

Взлом капчи за 0.05 секунд с помощью Машинного Обучения

Оказывается, нейросети уже давно могут «притворяться» людьми — рассказываем про новую модель генеративно-состязательной сети (GAN), которая распознаёт системы CAPTCHA на 32 посещаемых веб-сайтах.

Автор: Roberto Iriondo, Machine Learning Department of Carnegie Mellon University

ДИСКЛЕЙМЕР

Текст данной статьи приведен исключительно в образовательных целях для информирования пользователей о возможных уязвимостях при разработке сайтов. Информация предоставляется в целях противодействия эксплуатации уязвимостей. Редакция сайта не поддерживает никакие виды противозаконной деятельности в сети Интернет.

Никто не любит капчи (в смысле, никто из людей, ведь у ботов нет эмоций) — надоедливые картинки с трудно читаемым текстом, который вы должны ввести для доступа к чему-либо в интернете. CAPTCHA (Completely Automated Public T

Схема алгоритма:

Одним из первых известных людей, которые продемонстрировали уязвимость CAPTCHA, был Эдриан Роузброк. В своей книге “Deep Learning for Computer Vision with Python” Эдриан рассказывает, как он обошёл системы CAPTCHA на сайте E-ZPass New York. Для обучения своей глубокой модели он использовал большой набор изображений с примерами CAPTCHA.

Основное отличие решения Адриана от подхода учёных из Ланкастера, Северо-Западного университета и Пекина — последние не использовали набор данных с примерами, а синтезировали CAPTCHA с помощью генеративно-состязательной сети (GAN). Почти вся обучающая выборка состояла из сгенерированных капч, и лишь небольшая часть — из реальных.

Генеративно-состязательные сети, представленные Яном Гудфеллоу вместе с другими учёными — это глубокие архитектуры, состоящие из двух нейросетей. Эти сети «соревнуются» друг с другом в игре с нулевой суммой (zero-sum game) и синтезируют образцы, близкие к подлинным. Это может быть очень полезно в случае, когда модель не имеет доступа к большому набору данных.

Исследователи оценили свой подход с помощью 33 текстовых схем CAPTCHA, 11 из которых в настоящее время используют 32 самых популярных веб-сайта по данным Alexa. Туда входят схемы Google, Microsoft, eBay, Wikipedia, Baidu и многие другие. Модели, создаваемой для работы с этими системами, понадобилось всего 500 реальных капч, в то время как другим (в том числе модели Эдриана) требовались миллионы примеров.

Сеть GAN инициализируется с учётом параметров безопасности капчи, показанных на рисунке:

Затем она генерирует партию CAPTCHA, чтобы обучить синтезатор с помощью 500 реальных изображений из различных схем капч:

Исследователи использовали 20 тыс. капч для обучения модели Preprocessing и 200 тыс. сгенерированных капч для обучения базового решателя.

Прототип создан с помощью Python, модель Preprocessing построена в приложении Pix2Pix, которое реализовано с помощью TensorFlow. Точно настроенный решатель сделан с помощью Keras.

После обучения GAN со сгенерированными и реальными капчами, решатель CAPTCHA использовался для атаки на системы защиты таких сайтов как Megaupload, Blizzard, Authorize, Captcha.net, Baidu, QQ, reCaptcha, Wikipedia и т.д. Большинство капч было определено с точностью около 80%, а на сайтах Blizzard, Megaupload и Authorize.net — 100%. Этот метод оказался более точным, чем все предыдущие решения, в которых использовались большие несинтезированные наборы обучающих данных.

Помимо увеличения точности, исследователи упоминают в статье, что их подход также оказался более эффективным и не таким дорогостоящим, как другие решения. Это первая GAN-нейросеть для распознавания капч с открытым исходным кодом — отсюда её эффективность и дешевизна.

Однако, у модели есть некоторые ограничения: например, капчи с переменным количеством символов. В текущем подходе используется фиксированное число — если его увеличить, то прототип не будет работать. Ещё модель не поддерживает многословные и фото- или видео-капчи. В теории её можно обучить так, чтобы избавиться от этих ограничений, но пока что они присутствуют.

Посещаемым веб-сайтам следует использовать более надёжные способы защиты своих систем, такие как меры по обнаружению ботов, диагностика кибербезопасности и аналитика. Следует также поддерживать отслеживание местоположения устройства, его тип, используемый браузер и т.д., поскольку теперь сайты стали ещё более лёгкой мишенью для атаки.

Ссылка на оригинальную статью на портале medium.com.

Капча — что это такое? Расшифровка, определение, перевод

Капча используется для того, чтобы запретить «роботам» доступ в определённые разделы сайтов, а живым людям этот доступ разрешить. Под «роботами» здесь понимаются программы, написанные для рассылки спама и прочих вредоносных штук.

Стандартная капча представляет из себя картинку с трудночитаемым текстом, который, как предполагается, может распознать только человек. Рядом с этой картинкой имеется текстовое поле, куда нужно ввести нарисованные на картинке символы. Система сверяет то, что написано на картинке, с тем, что введено в текстовое поле, и на основании этого делает вывод, что данные ввёл человек.

И не забудьте подписаться на самый интересный паблик ВКонтакте!

Стандартная капча представляет из себя картинку с трудночитаемым текстом, который, как предполагается, может распознать только человек. Рядом с этой картинкой имеется текстовое поле, куда нужно ввести нарисованные на картинке символы. Система сверяет то, что написано на картинке, с тем, что введено в текстовое поле, и на основании этого делает вывод, что данные ввёл человек.

Тестируем универсальную распознавалку CAPTCHA — «Хакер»

Содержание статьи

Есть разные способы для обхода CAPTCHA, которыми защищены сайты. Во-первых, существуют специальные сервисы, которые используют дешевый ручной труд и буквально за $1 предлагают решить 1000 капч. В качестве альтернативы можно попробовать написать интеллектуальную систему, которая по определенным алгоритмам будет сама выполнять распознавание. Последнее теперь можно реализовать с помощью специальной утилиты.

Решить CAPTCHA

Распознавание CAPTCHA — задача чаще всего нетривиальная. На изображение необходимо накладывать массу различных фильтров, чтобы убрать искажения и помехи, которыми разработчики желают укрепить стойкость защиты. Зачастую приходится реализовывать обучаемую систему на основе нейронные сетей (это, к слову, не так сложно, как может показаться), чтобы добиться приемлемого результата по автоматизированному решению капч. Чтобы понять, о чем я говорю, лучше поднять архив и прочитать замечательные статьи «Взлом CAPTCHA: теория и практика. Разбираемся, как ломают капчи» и «Подсмотрим и распознаем. Взлом Captcha-фильтров» из #135 и #126 номеров соответственно. Сегодня же я хочу рассказать тебе о разработке TesserCap, которую автор называет универсальной решалкой CAPTCHA. Любопытная штука, как ни крути.

Первый взгляд на TesserCap

Что сделал автор программы? Он посмотрел, как обычно подходят к проблеме автоматизированного решения CAPTCHA и попробовал обобщить этот опыт в одном инструменте. Автор заметил, что для удаления шумов с изображения, то есть решения самой сложной задачи при распознавании капч, чаще всего применяются одни и те же фильтры. Получается, что если реализовать удобный инструмент, позволяющий без сложных математических преобразований накладывать фильтры на изображения, и совместить его с OCR-системой для распознавания текста, то можно получить вполне работоспособную программу. Это, собственно, и сделал Гурсев Сингх Калра из компании McAfee. Зачем это было нужно? Автор утилиты решил таким образом проверить, насколько безопасны капчи крупных ресурсов. Для тестирования были выбраны те интернет-сайты, которые являются самыми посещаемыми по версии известного сервиса статистики. Кандидатами на участие в тестировании стали такие монстры, как Wikipedia, eBay, а также провайдер капч reCaptcha.

Если рассматривать в общих чертах принцип функционирования программы, то он достаточно прост. Исходная капча поступает в систему предварительной обработки изображений, очищающей капчу от всяких шумов и искажений и по конвейеру передающей полученное изображение OCR-системе, которая старается распознать текст на нем. TesserCap имеет интерактивный графический интерфейс и обладает следующими свойствами:

1. Имеет универсальную систему предварительной обработки изображений, которую можно настроить для каждой отдельной капчи.
2. Включает в себя систему распознавания Tesseract , которая извлекает текст из предварительно проанализированного и подготовленного CAPTCHA-изображения.
3. Поддерживает использование различных кодировок в системе распознавания.

Думаю, общий смысл понятен, поэтому предлагаю посмотреть, как это выглядит. Универсальность утилиты не могла не привести к усложнению ее интерфейса, поэтому окно программы может ввести в небольшой ступор. Так что, перед тем как переходить непосредственно к распознаванию капч, предлагаю разобраться с ее интерфейсом и заложенным функционалом.

About

Мы не могли не сказать хотя бы пары слов об авторе замечательной утилиты TesserCap. Его зовут Гурсев Сингх Калра. Он работает главным консультантом в подразделении профессиональных услуг Foundstone, которое входит в состав компании McAfee. Гурсев выступал на таких конференциях, как ToorCon, NullCon и ClubHack. Является автором инструментов TesserCap и SSLSmart. Помимо этого, разработал несколько инструментов для внутренних нужд компании. Любимые языки программирования — Ruby, Ruby on Rails и C#. Подразделение профессиональных услуг Foundstone®, в котором он трудится, предлагает организациям экспертные услуги и обучение, обеспечивает постоянную и действенную защиту их активов от самых серьезных угроз. Команда подразделения профессиональных услуг состоит из признанных экспертов в области безопасности и разработчиков, имеющих богатый опыт сотрудничества с международными корпорациями и государственными

Интерфейс. Вкладка Main

После запуска программы перед нами предстает окно с тремя вкладками: Main, Options, Image Preprocessing. Основная вкладка содержит элементы управления, которые используются для запуска и остановки теста CAPTCHA-изображения, формирования статистики теста (сколько отгадано, а сколько нет), навигации и выбора изображения для предварительной обработки. В поле для ввода URL-адреса (элемент управления № 1) должен быть указан точный URL-адрес, который веб-приложение использует для извлечения капч. URL-адрес можно получить следующим образом: кликнуть в правой части CAPTCHA-изображения, скопировать или просмотреть код страницы и извлечь URL-адрес из атрибута src тега изображения . Например, в случае с xakep.ru это адрес www.xakep.ru/common/rateit/captcha.asp?name=xakep.ru. Рядом со строкой адреса находится элемент, задающий количество капч, которые нужно загрузить для тестирования. Так как приложение может одновременно показывать только 12 изображений, в нем предусмотрены элементы управления для постраничного пролистывания загруженных капч. Таким образом, при масштабном тестировании мы сможем пролистывать загруженные капчи и просматривать результаты их распознавания. Кнопки Start и Stop запускают и останавливают тестирование соответственно. После тестирования нужно оценить результаты распознавания изображений, отметив каждый из них как корректный или некорректный. Ну и последняя, наиболее значимая функция служит для передачи любого изображения в систему предварительной обработки, в которой задается фильтр, удаляющий с изображения шумы и искажения. Чтобы передать картинку в систему предварительной обработки, надо щелкнуть на требуемом изображении правой кнопкой мыши и в контекстном меню выбрать пункт Send To Image Preprocessor.

Интерфейс. Вкладка Options

Вкладка опций содержит различные элементы управления для конфигурирования TesserCap. Здесь можно выбрать OCR-систему, задать параметры веб-прокси, включить переадресацию и предварительную обработку изображений, добавить пользовательские HTTP-заголовки, а также указать диапазон символов для системы распознавания: цифры, буквы в нижнем регистре, буквы в верхнем регистре, специальные символы.

Теперь о каждой опции поподробней. Прежде всего, можно выбрать OCR-систему. По умолчанию доступна только одна — Tesseract-ORC, так что заморачиваться с выбором тут не придется. Еще одна очень интересная возможность программы — выбор диапазона символов. Возьмем, например, капчу с xakep.ru — видно, что она не содержит ни одной буквы, а состоит только из цифр. Так зачем нам лишние символы, которые только увеличат вероятность некорректного распознавания? Конечно, они нам ни к чему, поэтому при тестировании капчи xakep.ru лучше указать, что она содержит одни цифры: Numerics. Но что если выбрать Upper Case? Сможет ли программа распознать капчу, состоящую из заглавных букв любого языка? Нет, не сможет. Программа берет список символов, используемых для распознавания, из конфигурационных файлов, находящихся в \Program Files\Foundstone Free Tools\TesserCap 1.0\tessdata\configs. Поясню на примере: если мы выбрали опции Numerics и Lower Case, то программа обратится к файлу lowernumeric, начинающемуся с параметра tesseditcharwhitelist. За ним следует список символов, которые будут использоваться для решения капчи. По умолчанию в файлах содержатся только буквы латинского алфавита, так что для распознавания кириллицы надо заменить или дополнить список символов.

Теперь немного о том, для чего нужно поле Http Request Headers. Например, на некоторых веб-сайтах нужно залогиниться, для того чтобы увидеть капчу. Чтобы TesserCap смогла получить доступ к капче, программе необходимо передать в запросе HTTP такие заголовки, как Accept, Cookie и Referrer и т. д. Используя веб-прокси (Fiddler, Burp, Charles, WebScarab, Paros и т. д.), можно перехватить посылаемые заголовки запроса и ввести их в поле ввода Http Request Headers. Еще одна опция, которая наверняка пригодится, — это Follow Redirects. Дело в том, что TesserCap по умолчанию не следует переадресации. Если тестовый URL-адрес должен следовать переадресации для получения изображения, нужно выбрать эту опцию.

Ну и осталась последняя опция, включающая/отключающая механизм предварительной обработки изображений, который мы рассмотрим далее. По умолчанию предварительная обработка изображений отключена. Пользователи сначала настраивают фильтры предварительной обработки изображений согласно тестируемым CAPTCHA-изображениям и затем активируют этот модуль. Все CAPTCHA-изображения, загружаемые после включения опции Enable Image Preprocessing, проходят предварительную обработку и уже затем передаются в OCR-систему Tesseract для извлечения текста.

Интерфейс. Вкладка Image Preprocessing

Ну вот мы и добрались до самой интересной вкладки. Именно тут настраиваются фильтры для удаления с капч различных шумов и размытий, которые стараются максимально усложнить задачу системе распознавания. Процесс настройки универсального фильтра предельно прост и состоит из девяти этапов. На каждом этапе предварительной обработки изображения его изменения отображаются. Кроме того, на странице имеется компонент проверки, который позволяет оценить правильность распознавания капчи при наложенном фильтре. Рассмотрим подробно каждый этап.

Этап 1. Инверсия цвета

На данном этапе инвертируются цвета пикселей для CAPTCHA-изображений. Код, представленный ниже, демонстрирует, как это происходит:

for(each pixel in CAPTCHA)
{
    if (invertRed is true)
        new red = 255 – current red
    if (invertBlue is true)
        new blue = 255 – current blue
    if (invertGreen is true)
        new green = 255 – current green
}

Инверсия одного или нескольких цветов часто открывает новые возможности для проверки тестируемого CAPTCHA-изображения.

Этап 2. Изменение цвета

На данном шаге можно изменить цветовые компоненты для всех пикселей изображения. Каждое числовое поле может содержать 257 (от  1 до 255) возможных значений. Для RGB-компонентов каждого пикселя в зависимости от значения в поле выполняются следующие действия:

1. Если значение равно -1, соответствующий цветовой компонент не меняется.
2. Если значение не равно -1, все найденные компоненты указанного цвета (красный, зеленый или синий) меняются в соответствии с введенным в поля значением. Значение 0 удаляет компонент, значение 255 устанавливает его максимальную интенсивность и т. д.

Этап 3. Градация серого (Шкала яркости)

На третьем этапе все изображения конвертируются в изображения в градациях серого. Это единственный обязательный этап преобразования изображений, который нельзя пропустить. В зависимости от выбранной кнопки выполняется одно из следующих действий, связанных с цветовой составляющей каждого пикселя:

1. Average -> (Red + Green + Blue)/3.
2. Human -> (0.21 * Red + 0.71 * Green + 0.07 * Blue).
3. Average of minimum and maximum color components -> (Minimum (Red + Green + Blue) + Maximum (Red + Green + Blue))/2.
4. Minimum -> Minimum (Red + Green + Blue).
5. Maximum -> Maximum (Red + Green + Blue).

В зависимости от интенсивности и распределения цветовой составляющей CAPTCHA любой из этих фильтров может улучшить извлекаемое изображение для дальнейшей обработки.

Этап 4. Сглаживание и резкость

Чтобы усложнить извлечение текста из CAPTCHA-изображений, в них добавляют шум в форме однопиксельных или многопиксельных точек, посторонних линий и пространственных искажений. При сглаживании изображения возрастает случайный шум, для устранения которого потом используются фильтры Bucket или Cutoff. В числовом поле Passes следует указать, сколько раз нужно применить соответствующую маску изображения перед переходом на следующий этап. Давай рассмотрим компоненты фильтра для сглаживания и повышения резкости. Доступны два типа масок изображения:

1. Фиксированные маски. По умолчанию TesserCap имеет шесть наиболее популярных масок изображения. Эти маски могут сглаживать изображение или повышать резкость (преобразование Лапласа). Изменения отображаются сразу же после выбора маски с помощью соответствующих кнопок.
2. Пользовательские маски изображения. Пользователь также может настроить пользовательские маски обработки изображений, вводя значения в числовые поля и нажимая кнопку Save Mask. если сумма коэффициентов в этих окошках меньше нуля, выдается ошибка и маска не применяется. При выборе фиксированной маски кнопку Save Mask использовать не требуется.

Этап 5. Вводим оттенки серого

На этом этапе обработки изображения его пиксели могут быть окрашены в широкий диапазон оттенков серого. Этот фильтр отображает распределение градаций серого в 20 бакетах (bucket)/диапазонах. Процент пикселей, окрашенных в оттенки серого в диапазоне от 0 до 12, указан в бакете (bucket) 0, процент пикселей, окрашенных в оттенки серого в диапазоне от 13 до 25, — в бакете (bucket) 1 и т. д. Пользователь может выбрать одно из следующих действий для каждого диапазона значений, соответствующих оттенкам серого:

1. Оставить без изменения (Leave As Is).
2. Заменить белым (White).
3. Заменить черным (Black).

Благодаря этим опциям можно контролировать различные диапазоны оттенков серого, а также сокращать/удалять шум путем, меняя оттенки серого в сторону белого или черного.

Этап 6. Настройка отсечения (cutoff)

Этот фильтр строит график зависимости значения уровня серого от частоты встречаемости и предлагает выбрать отсечение. Принцип работы отсекающего фильтра показан ниже в псевдокоде:

if (pixel’s grayscale value <= Cutoff)
    pixel grayscale value = (0 OR 255) -> в зависимости, от того какая опция выбрана (<= или => : Set Every Pixel with value <=/=> Threshold to 0. Remaining to 255)

График показывает подробное распределение пикселей CAPTCHA по цветам и помогает удалить помехи с помощью отсечения значений уровня серого.

Этап 7: Обтесывание (chopping)

После применения сглаживающего, отсекающего, bucket- и других фильтров CAPTCHA-изображения все еще могут быть зашумлены однопиксельными или многопиксельными точками, посторонними линиями и пространственными искажениями. Принцип работы фильтра обтесывания заключается в следующем: если количество смежных пикселей, окрашенных в данный оттенок серого, меньше величины в числовом поле, фильтр обтесывания присваивает им значение 0 (черный) или 255 (белый) по выбору пользователя. При этом CAPTCHA анализируется как в горизонтальном, так и в вертикальном направлении.

Этап 8: Изменение ширины границы

Как утверждает автор утилиты, в ходе первоначальных исследований и разработки TesserCap он неоднократно отмечал, что, когда CAPTCHA-изображения имеют толстую граничную линию и ее цвет отличается от основного фона CAPTCHA, некоторые системы OCR не могут распознать текст. Данный фильтр предназначен для обработки граничных линий и их изменения. Граничные линии с шириной, которая указана в числовом поле, окрашиваются в черный или белый по выбору пользователя.

Этап 9: Инверсия серого оттенка

Этот фильтр проходит каждый пиксель и заменяет его значение уровня серого новым, как показано ниже в псевдокоде. Инверсия серого проводится для подгонки изображения под цветовые настройки OCR-системы.

for(each pixel in CAPTCHA)
    new grayscale value = 255 – current grayscale value

Этап 10: Проверка распознавания капчи

Цель данного этапа — передать предварительно обработанное CAPTCHA-изображение OCR-системе для распознавания. Кнопка Solve берет изображение после фильтра инверсии серого, отправляет в OCR-систему для извлечения текста и отображает возвращенный текст в графическом интерфейсе. Если распознанный текст совпадает с текстом на капче, значит, мы правильно задали фильтр для предварительной обработки. Теперь можно перейти на вкладку опций и включить опцию предварительной обработки (Enable Image Preprocessing) для обработки всех последующих загруженных капч.

Распознаем капчи

Ну что ж, пожалуй, мы рассмотрели все опции этой утилиты, и теперь неплохо было бы протестировать какую-нибудь капчу на прочность. Предлагаю для примера взять капчу xakep.ru.

Итак, запускаем утилиту и идем на сайт журнала. Видим список свежих новостей, заходим в первую попавшуюся и пролистываем до места, где можно оставить свой комментарий. Ага, коммент так просто не добавить (еще бы, а то бы давно уже всё заспамили) — нужно вводить капчу. Ну что ж, проверим, можно ли это автоматизировать. Копируем URL картинки и вставляем его в адресную строку TesserCap. Указываем, что нужно загрузить 12 капч, и нажимаем Start. Программа послушно загрузила 12 картинок и попыталась их распознать. К сожалению, все капчи оказались либо не распознаны, о чем свидетельствует надпись -Failed- под ними, либо распознаны неправильно. В общем, неудивительно, так как посторонние шумы и искажения не были удалены. Этим мы сейчас и займемся. Жмем правой кнопкой мыши на одну из 12 загруженных картинок и отправляем ее в систему предварительной обработки (Send To Image Preprocessor). Внимательно рассмотрев все 12 капч, видим, что они содержат только цифры, поэтому идем на вкладку опций и указываем, что распознавать нужно только цифры (Character Set = Numerics). Теперь можно переходить на вкладку Image Preprocessing для настройки фильтров. Сразу скажу, что поигравшись с первыми тремя фильтрами («Инверсия цвета», «Изменение цвета», «Градация серого») я не увидел никакого положительного эффекта, поэтому оставил там всё по дефолту. Я выбрал маску Smooth Mask 2 и установил количество проходов равным одному. Фильтр Grayscale buckets я пропустил и перешел сразу к настройке отсечения. Выбрал значение 154 и указал, что те пиксели, которых меньше, нужно установить в 0, а те, которых больше, в 255. Чтобы избавиться от оставшихся точек, включил chopping и изменил ширину границы до 10. Последний фильтр включать не было смысла, поэтому я сразу нажал на Solve.

На капче у меня было число 714945, но программа распознала его как 711435. Это, как видишь, совершенно неверно. В конечном итоге, как я ни бился, нормально распознать капчу у меня так и не получилось. Пришлось экспериментировать с pastebin.com, которые без проблем удалось распознать. Но если ты окажешься усидчивее и терпеливее и сумеешь получить корректное распознавание капч с xakep.ru, то сразу заходи на вкладку опций и включай предварительную обработку изображений (Enable Image Preprocessing). Затем переходи на Main и, кликнув на Start, загружай свежую порцию капч, которые теперь будут предварительно обрабатываться твоим фильтром. После того, как программа отработает, отметь корректно/некорректно распознанные капчи (кнопки Mark as Correct/Mark as InCorrect). С этого момента можно посматривать сводную статистику по распознаванию с помощью Show Statistics. В общем-то, это своеобразный отчет о защищенности той или иной CAPTCHA. Если стоит вопрос о выборе того или другого решения, то с помощью TesserCap вполне можно провести свое собственное тестирование.

Результат проверки CAPTCHA на популярных сайтах

Веб-сайт и доля распознанных капч:

• Wikipedia > 20–30 %
• Ebay > 20–30 %
• reddit.com > 20–30 %
• CNBC > 50 %
• foodnetwork.com > 80–90 %
• dailymail.co.uk > 30 %
• megaupload.com > 80 %
• pastebin.com > 70–80 %
• cavenue.com > 80 %

Заключение

CAPTCHA-изображения являются одним из самых эффективных механизмов по защите веб-приложений от автоматизированного заполнения форм. Однако слабые капчи смогут защитить от случайных роботов и не устоят перед целенаправленными попытками их решить. Как и криптографические алгоритмы, CAPTCHA-изображения, тщательно протестированные и обеспечивающие высокий уровень безопасности, являются самым лучшим способом защиты. На основе статистики, которую привел автор программы, я выбрал для своих проектов reCaptcha и буду рекомендовать ее всем своим друзьям — она оказалось самой стойкой из протестированных. В любом случае не стоит забывать, что в Сети есть немало сервисов, которые предлагают полуавтоматизированное решение CAPTCHA. Через специальный API ты передаешь сервису изображение, а тот через непродолжительное время возвращает решение. Решает капчу реальный человек (например, из Китая), получая за это свою копеечку. Тут уже никакой защиты нет. 🙂

Текстовые капчи легко распознаются нейронными сетями глубокого обучения / Хабр

Нейронные сети глубокого обучения достигли больших успехов в распознавании образов. В тоже время текстовые капчи до сих пор используются в некоторых известных сервисах бесплатной электронной почты. Интересно смогут ли нейронные сети глубоко обучения справится с задачей распознавания текстовой капчи? Если да то как?

Что такое текстовая капча?

Капча (англ. “CAPTCHA”) — это тест на “человечность”. То есть задача, которую легко решает человек, в то время как для машины эта задача должна быть сложной. Зачастую используется текст со слипшимися буквами, пример на картинке ниже, также картинку дополнительно подвергают оптическим искажениям.

Капча, как правило, используется на странице регистрации для защиты от ботов рассылающих спам.

Полносверточная нейронная сеть

Если буквы “слиплись”, то их обычно очень трудно разделить эвристическими алгоритмами. Следовательно, нужно искать каждую букву в каждом месте картинки. С этой задачей справится

. Полносверточная сеть — сверточная сеть без полносвязного слоя. На вход такой сети подается изображение, на выходе она выдает тоже изображение или несколько изображений (карты центров).

Количество карт центров равно длине алфавита символов использованных в определенной капче. На картах центров отмечаются центры букв. Масштабное преобразование, которое в сети происходит из-за наличия пуллинг слоев, учитывается. Ниже показан пример карты символа для символа “D”

В данном случае используются сверточные слои с паддингом так, чтобы размер изображений на выходе сверточного слоя равнялся размеру изображений на входном слое. Профиль пятна на карте символа задается двумерной гауссовой функцией с ширинами 1.3 и 2.6 пикселей.
Первоначально полносверточная сеть была проверена на символе “R”:

Для проверки применялась небольшая сеть с 2мя пуллингами, натреннированная на CPU. Убедившись, что идея хоть как то работает, я приобрел б/у видеокарту Nvidia GTX 760, 2GB. Это дало мне возможность тренировать более крупные сети для всех символов алфавита, а также ускорило обучение (примерно в 10 раз). Для тренировки сети использовалась библиотека Theano, на текущий момент уже не поддерживаемая.

Тренировка на генераторе

Разметить большой датасет вручную казалось делом долгим и трудозатратным, поэтому было решено генерировать капчи специальным скриптом. При этом карты центров генерируются автоматически. Мною был подобран шрифт, используемый в капче для сервиса

, сгенерированная капча визуально была похожа по стилю на реальные капчи:

Финальная точность тренировки на сгенерированных капчах, как оказалось, в 2 раза ниже, по сравнению с тренировкой на реальных капчах. Вероятно, такие нюансы как степень пересечения символов, масштаб, толщина линий символов, параметры искажения и т. п., важны, и в генераторе эти нюансы воспроизвести не удалось. Сеть тренированная на сгенерированных капчах давала точность на реальных капчах около 10%, точность — какой процент капч распознался правильно. Капча считается распознанной, если все символы в ней распознаны правильно. В любом случае этот эксперимент показал, что метод рабочий, и требуется повысить точность распознавания.

Тренировка на реальном датасете

Для ручной разметки датасета реальных капч был написан скрипт на Matlab с графическим интерфейсом:

Здесь кружочки можно расставлять и двигать мышкой. Кружочком отмечается центр символа. Ручная разметка занимала 5-15 часов, однако есть сервисы, где за не большую плату размечают вручную датасеты. Однако, как оказалось, сервис Amazon Mechanical Turk не работает с российскими заказчиками. Разместил заказ на разметку датасета на известном сайте фриланса. К сожалению, качество разметки было не идеальным, поправлял разметку самостоятельно. Кроме того, поиск исполнителя занимает время (1 неделя) и также это показалось дорого: 30 долларов за 560 размеченных капч. От данного способа отказался, в итоге пришел к использованию сайтов ручного распознавания капч, где самая низкая стоимость 1 доллар за 2000 капч. Но полученный ответ там — это строка. Таким образом, ручной расстановки центров избежать не удалось. Более того, исполнители в таких сервисах допускают ошибки или вовсе действуют недобросовестно, печатая произвольную строку в ответе. В итоге приходилось проверять и исправлять ошибки.

Более глубокая сеть

Очевидно точность распознавания была недостаточна, поэтому возник вопрос подбора архитектуры. Меня интересовал вопрос “видит” ли один пиксель на выходном изображении весь символ на входном изображении:

Таким образом, мы рассматриваем один пиксель на выходном изображении, и есть вопрос: значения каких пикселей на входном изображении влияют на значения этого пикселя? Я рассуждал так: если пиксель видит не весь символ, то используется не вся информация о символе и точность хуже. Для определения размера этой области видимости (будем называть ее так), я провел следующий эксперимент: установил все веса сверточных слоев равным 0.01, а смещения равным 0, на вход сети подается изображение, в котором значения всех пикселей равны 0 кроме центрального. В результате на выходе сети получается пятно:

Форма данного пятна близка к форме гауссовой функции. Форма получившегося пятна вызывает вопрос, почему пятно круглое, тогда как ядра сверток в сверточных слоях квадратные? (В сети использовались ядра сверток 3×3 и 5×5). Мое объяснение такое: это похоже на центральную предельную теорему. В ней, как и здесь, присутствует стремление к гауссовому распределению. Центральная предельная теорема утверждает, что для случайных величин, даже с разными распределениями, распределение их суммы равно свертке распределений. Таким образом, если мы сворачиваем любой сигнал сам с собой много раз, то по центральной предельной теореме результат стремится к гауссовой функции, а ширина гауссовской функции растет как корень из количества сверток (слоев). Если для такой же сети с константными весами посмотреть, где в выходном изображении значения пикселей больше нуля, то получается все таки квадратная область (см. рисунок ниже), размер этой области пропорционален сумме размеров сверток в сверточных слоях сети.

Раньше думал, что из-за ассоциативного свойства свертки две последовательные свертки 3×3 эквивалентны свертке 5×5 и потому, если свернуть 2 ядра 3×3 получится одно ядро 5×5. Однако, потом пришел к выводу, что это не эквивалентно хотя бы потому, что у двух сверток 3×3 9*2=18 параметров, а у одной 5×5 25 параметров, таким образом, у свертки 5×5 больше степеней свободы. В итоге, на выходе сети получается гауссова функция с шириной меньше суммы размеров сверток в слоях. Здесь ответил на вопрос какие пиксели на выходе подвержены влиянию одного пикселя на входе. Хотя изначально вопрос ставился обратный. Но оба вопросы эквивалентны, что можно понять из рисунка:

На рисунке можно представить, что это вид на изображения с боку или, что у нас высота изображений равна 1. Каждый из пикселей A и B имеет свою зону влияния на выходном изображении (обозначены синим цветом): для А это D-C, для B это C-E, на значения пикселя C влияют значения пикселей A и B и значения всех пикселей между A и B. Расстояния равны: AB = DC = CE (с учетом масштабирования: в сети присутствуют пуллинг слои, поэтому входное и выходное изображения имеют разные разрешения). В итоге, получается следующий алгоритм нахождения размера области видимости:

1. задаем константные веса в сверточных слоях, весам-смещениям задаем значения 0
2. на вход подаем изображения с одним ненулевым пикселем
3. получаем размер пятна на выходе
4. умножаем этот размер на коэффициент учитывающий разное разрешение входного и выходного слоя (например, если у нас 2 пулинга в сети, то разрешение на выходе в 4 раза меньше, чем на входе, значит этот размер надо умножать на 4).

Чтобы посмотреть какие признаки сеть использует, провел следующий эксперимент: в тренированную сеть подаем изображение капчи, на выходе получаем изображения с отмеченными центрами символов, из них выбираем какой-нибудь задетектированный символ, на изображениях-картах центров оставляем ненулевой только ту карту, которая соответствует рассматриваемому символу. Такой выход сети запоминаем как

, затем градиентным спуском минимизируем функцию:

Здесь — входное изображение сети, — выходные изображения сети, — некоторая константа, которая подбирается экспериментально (). При такой минимизации вход и выход сети считаются переменными, а веса сети константами. Начальное значение переменной это изображение капчи, является начальной точкой оптимизации алгоритма градиентного спуска. При такой минимизации мы уменьшаем значения пикселей на входе изображения, при этом сдерживаем значения пикселей на выходном изображении, в результате оптимизации на входном изображении остаются только те пиксели, которые сеть использует в распознавании символа.
Что получилось:
Для символа “2”:

Для символа “5”:

Для символа “L”:

Для символа “u”:

Изображения слева — исходные изображения капч, изображения справа — это оптимизированное изображение . Квадратом на изображениях обозначена область видимости output>0, окружности на рисунке — это линии уровня Гауссовой функции области видимости. Малая окружность — уровень 35% от максимального значения, большая окружность — уровень 3%. Примеры показывают, что сеть видит в пределах своей области видимости. Однако, у символа “u” наблюдается выход за область видимости, возможно это частичное ложное срабатывание на символ “n”.

Было проведено много экспериментов с архитектурой сети, чем более глубокая и широкая сеть, тем более сложные капчи она может распознавать, самой универсальной архитектурой оказалась следующая:

Синим цветом, поверх стрелок, показано количество изображений (feature maps). c- сверточный слой, p — max-pooling слой, зеленым цветом внизу показаны размеры ядер. В сверточных слоях используются ядра 3×3 и 5×5 без strade, пуллинг слой имеет патч 2×2. После каждого сверточного слоя есть ReLU слой (на рисунке не показан). На вход подается одно изображение, на выходе получется 24 (количество символов в алфавите). В сверточных слоях паддинг подобран таким образом, чтобы на выходе слоя размер изображения был таким же как и на входе. Паддинг добавляет нули, однако это никак не влияет на работу сети, потому что значение фонового пикселя капчи — 0, так как всегда берется негативное изображение (белые буквы по черному фону). Паддинг лишь незначительно замедляет работу сети. Так как в сети 2 пуллинг слоя, то разрешение изображения на выходе в 4 раза меньше разрешения изображения на входе, таким образом каждый пуллинг уменьшает разрешение в 2 раза, например, если на входе у нас капча размером 216×96 то на выходе будет 24 изображения размером 54×24.

Улучшения

Переход от решателя SGD к решателю ADAM дал заметное ускорение обучения, и финальное качество стало лучше. Решатель ADAM импортировал из модуля

и использовал внутри theano-кода, параметр learning rate ставил 0.0005, регуляризация L2 была добавлена через градиент. Было замечено, что от тренировки к тренировке результат получается разный. Объясняю это так: алгоритм градиентного спуска застревает в недостаточно оптимальном локальном минимуме. Частично поборол это следующим образом: запускал тренировку несколько раз и выбирал несколько самых лучших результатов, затем продолжал их тренировать еще несколько эпох, после из них выбирал один лучший результат и уже этот единственный лучший результат долго тренировал. Таким образом удалось избежать застревания в недостаточно оптимальных локальных минимумах и финальное значение функции ошибок (loss) получалась достаточно малым. На рисунке показан график — эволюция значения функции ошибок:

По оси x — число эпох, по оси y — значение функции ошибок. Разными цветами показаны разные тренировки. Порядок обучения примерно такой:

1) запускаем 20 тренировок по 10 эпох
2) выбираем 10 лучших результатов (по наименьшему значению loss) и тренируем их еще 100 эпох
3) выбираем один лучший результат и продолжаем тренировать его еще 1500 эпох.

Это занимает около 12 часов. Конечно, для экономии памяти, данные тренировки проводились последовательно, например, в пункте 2) 10 тренировок проводились последовательно одна за другой, для этого провел модификацию решателя ADAM от Lasagne, чтобы иметь возможность сохранять и загружать состояние решателя в переменные.

Разбиение датасета на 3 части позволяло отслеживать переобучение сети:

1 часть: тренировочный датасет — исходный, на котором сеть обучается
2 часть: тестовый датасет, на котором сеть проверяется в процессе тренировки
3 часть: отложенный датасет, на нем проверяется качество обучения после тренировки

Датасеты 2 и 3 небольшие, в моем случае было по 160 капч в каждом, также по датасету 2 определяется оптимальный порог срабатывания, порог который устанавливается на выходное изображение. Если значение пикселя превышает порог, то в данном месте обнаружен соответствующий символ. Обычно оптимальное значение порога срабатывания находится в диапазоне 0.3 — 0.5. Если точность на тестовом датасете значительно ниже, чем точность на тренировочном датасете — это значит что произошло переобучение и тренировочный датасет необходимо увеличить. В случае, если эти точности примерно одинаковы, но не высокие, то архитектуру нейронной сети нужно усложнять, а тренировочный датасет увеличивать. Усложнять архитектуру сети можно двумя путями: увеличивать глубину или увеличивать ширину.

Предварительная обработка изображений также повышала точность распознавания. Пример предобработки:

В данном случае методом наименьших квадратов найдена средняя линия повернутой строки, производится поворот и масштабирование, масштабирование проводится по средней высоте строки. Сервис Hotmail часто делает разнообразные искажения:

Эти искажения необходимо компенсировать.

Неудачные идеи

Всегда интересно почитать про чужие неудачи, опишу их здесь.

Существовала проблема малого датасета: для качественного распознавания требовался большой датасет, который требовалось разметить вручную (1000 капч). Мной предпринимались различные попытки каким-то образом обучить сеть качественно на малом датасете. Делал попытку обучать сеть на результатах распознавания другой сети. при этом выбирал только те капчи и те места изображений, в которых сеть была уверена. Уверенность определял по значению пикселя на выходном изображении. Таким образом можно увеличить датасет. Однако идея не сработала, после нескольких итераций обучения качество распознавания сильно ухудшилось: сеть не распознавала некоторые символы, путала их, то есть ошибки распознавания накапливались.

Другая попытка обучиться на малом датасете — использовать сиамские сети, сиамская сеть на входе требует пару капч, если у нас датасет из N капч, то пар будет N², получаем гораздо больше обучающих примеров. Cеть преобразует капчу в карту векторов. В качестве метрики сходства векторов выбрал скалярное произведение. Предполагалось что сиамская сеть будет работать следующим образом. Сеть сравнивает часть изображения на капче с некоторым эталонным изображением символа, если сеть видит, что символ тот же с учетом искажения, то считается, что в данном месте качи есть соответствующий символ. Сиамская сеть тренировалась с трудом, часто застревала в неоптимальном локальном минимуме, точность была заметно ниже точности обычной сети. Возможно проблема была в неправильном выборе метрики сходства векторов.

Также была идея использовать автоэнкодер для предварительного обучения нижней части сети (та, что ближе к входу), чтобы ускорить обучение. Автоэнкодер — это сеть, которая обучается выдавать на выходном изображении то же что и подается на вход, при этом в архитектуре автоэнкодера организуют узкий участок. Тренеровка автоэнкодера есть обучение без учителя.

Пример работы автоэкодера:

Первое изображение — входное, второе — выходное.
У обученного автоэнкодера берут нижнюю часть сети, добавляют новых необученных слоев, все это дотренировывают на требуемую задачу. В моем случае применение автоэнкодера никак не ускоряло обучение сети.

Также был пример капчи, которая использовала цвет:

На данной капче описанный метод с полносверточной нейронной сетью не давал результата, он не появился даже после различных предобработок изображения повышающих контрастность. Предполагаю что, полносверточные сети плохо справляются с неконтрастными изображениями. Тем не менее, данную капчу удалось распознать обычной сверточной сетью с полносвязным слоем, получена точность около 50%, определение координат символов осуществлялось специальным эвристическим алгоритмом.

Результат

Что еще можно было бы улучшить

Можно было бы сделать автоматическую разметку центров символов. Сервисы ручного распознавания капч выдают лишь распознанные строки, поэтому автоматическая разметка центров помогла бы полностью автоматизировать разметку тренировочного датасета. Идея такова: выбрать только те капчи, в которых каждый символ встречается один раз, на каждый символ натренировать отдельную обычную сверточную сеть, такая сеть будет отвечать лишь на вопрос: есть ли в данной капче символ или нет? Затем посмотреть какие признаки использует сеть, используя метод минимизация значений пикселей входной картинки (описано выше). Полученные признаки позволят локализовать символ, далее тренируем полносверточную сеть на полученных центрах символов.

Выводы

Текстовые капчи распознаются полносверточной нейронной сетью в большинстве случаев. Вероятно, уже настало время отказываться от текстовых капч. Google давно не использует текстовую капчу, вместо текста предлагаются картинки с различными предметами, которые нужно распознать человеку:

Однако и такая задача кажется решаемой для сверточной сети. Можно предположить, что в будущем возникнут центры регистрации людей, например, человека по скайпу интервьюирует живой человек, проверяет сканы паспортов и тому подобное, затем человеку выдается цифровая подпись, с которой он может автоматически регистрироваться на любом сайте.

© Максим Веденев

GAN взламывает любую текстовую CAPTCHA за 0,05 секунды

Ученые разработали алгоритм, который способен взломать CAPTCHA быстрее и точнее, чем предыдущие методы — за 0,05 секунды с помощью настольного ПК.

Новый подход основан на использовании генеративно-состязательных нейросетей (GAN). Преимущество GAN при решении подобных задач состоит в том, что сеть может работать с гораздо меньшим начальным количеством данных для обучения. Это возможно благодаря тому, что GAN использует генеративный компонент для создания похожих данных. Сгенерированные данные затем подаются в дискриминатор, который пытается угадать правильный образец перед ним или нет.

Для исследования ученые использовали 500 текстовых CAPTCHA из 11 текстовых сервисов по созданию капчи, которые использовались на 32 сайтах из топ-50 по версии Alexa. 

Разработчикам потребовалось 2 часа чтобы собрать 500 разных CAPTCHA. Столько же времени ушло на разметку собранных капч одним пользователем. «Это означает, что усилия и затраты на запуск нашей атаки невелики», — написали исследовали в статье. Затем GAN создала ещё 200 000 «синтетических» CAPTCHA. Обучающая выборка была собрана с сайтов Википедии, Microsoft, eBay, Baidu, Google, Alipay, JD, Qihoo360, Sina, Weibo и Sohu.

Подготовленная нейросеть взломала текстовые CAPTCHA со 100% точностью на сайтах Megaupload, Blizzard и Authorize.NET. Кроме того, метод превзошел другие подходы при взломе капчи на Amazon, Digg, Slashdot, PayPal, Yahoo, QQ и других сайтах.

Авторы отмечают, что метод обучения модели очень прост, поэтому любой злоумышленник может обучить алгоритм на обычном ПК или веб-сервере. После чего сможет запускать скоординированные DDoS-атаки или рассылку спама на сайтах, где используется CAPTCHA. «Это означает, что подобная защита сайтов перестала быть надежной», — отмечает автор исследования Чжэн Ванг.

Разработчики рекомендуют владельцам сайтов внедрять альтернативные меры по обнаружению ботов, использующие несколько уровней безопасности, например шаблоны использования, определение местоположения устройства или биометрические данные.

Вы можете самостоятельно за 15 минут написать простой алгоритм для взлома капчи, если знаете Python. Такой алгоритм подойдет только для одной версии капчи, но он работает.

Пример взлома простой капчи за 15 минут с помощью машинного обучения | by NeuroHive Ru

У меня нет времени разрезать каждую из 10,000 картинок в фотошопе. Это бы заняло несколько дней, а у меня осталось всего 10 минут. И нельзя просто автоматически разделить все картинки на 4 одинаковых куска. Потому что алгоритм задает символам случайное горизонтальное положение:

Символы сдвинуты случайным образом, чтобы изображение было сложнее разделить.

К счастью, это всё же можно автоматизировать. При обработке изображений часто приходится находить связные области из пикселей одного цвета. Границы таких областей называют контурами. В OpenCV есть встроенная функция findContours(), которую мы используем, чтобы найти связные области.

Итак, начнем с изображения капчи:

Преобразуем изображение в бинарное (это называется thresholding), чтобы было легче найти связные области:

Далее, используем функцию findContours(), чтобы выделить связные группы пикселей, состоящие из одного цвета:

Теперь, нужно просто сохранить каждый прямоугольник как отдельное изображение. И, так как мы знаем последовательность символов в каждом изображении, можно подписать каждый прямоугольник своим символом при сохранении.

Погодите-ка! Тут есть проблемка! Буквы в капче иногда накладываются друг на друга:

И наш алгоритм отмечает их как одну:

Если проблему не решить, то у нас будут плохие обучающие данные. Это нужно исправить, потому что с такими данными мы обучим модель распознавать эти две слившиеся буквы как одну.

Простой выход из этой ситуации сказать, что если какой-то прямоугольник в ширину сильно больше, чем в высоту, то это нужно считать двумя буквами. В этом случае, прямоугольник можно просто разрезать посередине и считать, что этот два прямоугольника:

Мы разделим пополам все прямоугольники, ширина которых сильно превышает высоту, и будем считать их за две буквы. Способ слегка “химический”, но с этими капчами работает.

Теперь, когда у нас есть способ извлекать из капчи отдельные буквы, давайте прогоним наш алгоритм через весь датасет. Цель — получить много вариантов написания для каждой буквы. Каждую букву можно сохранять в отдельную папку.

Вот так выглядит моя папка с буквой “W” после того, как я запустил свой алгоритм:

9 альтернатив капче, которые не испортят ваш UX

CAPTCHA это аббревиатура от английских слов «Completely Automatic Public Turing Test to Tell Computers and Humans Apart», что означает — полностью автоматический тест Тьюринга для различения компьютеров и людей. Название содержит сразу и функции и основную цель: автоматический тест, который выявляет настоящих пользователей и устраняет злых роботов, которые распространяют спам и удаляют нужные материалы.

С 2000 года капча — это что-то раздражающее, при этом очень надежное. Но сегодня это уже не так (по крайней мере «надежная» часть). Один стар-ап из Сан Франциско утверждает, что изобрел алгоритм, который может взломать капчу с 90% результатом. Алгоритм Google Maps по распознаванию адреса, привлек взлом капчи с 99,8% точностью. Роботы могут победить.

Автоматические капчи проваливаются практически везде, нарушая процесс работы пользователя, например, во время покупок онлайн, банковских переводов или отправки сообщений.

К тому же, нужда и желание обезопасить свою онлайн-жизнь растет. Изучение анонимности в сети соглашается с тем, что пользователи хотят приватности, и готовы сделать что-нибудь, что бы не закончить, как этот парень. Поэтому, сейчас аутентификация пользователя, с совершенно необходимой, и в тоже время устаревшей капчей — доказанный источник сильного разочарования, особенно для тех, кто в UX. Такие капчи могут означать провал UX. Уменьшают поток пользователей, и даже более того, могут быть просто невозможны в использовании людьми с нарушением здоровья или проблемами со зрением. Это должно быть решено.

Капча, как предмет искусства

Важный, но мало обсуждаемый вопрос, это как подойти к решению такой веб-дилеммы. В то время, как некоторые фокусируются в основном на том, что не так с системой, мы предпочтем путь Уинстона Черчилля, который однажды написал: «Пессимист видит трудности при каждой возможности, оптимист в каждой трудности видит возможности.». Если бы он реинкарнировался в UX дизайнера, бывший премьер-министр Великобритании и лауреат Нобелевской премии по литературе, наверняка использовал бы этот подход с рациональным позитивом, подчеркивая хорошо-разработанную победу пользователю.

Подстегиваемые нуждой в альтернативе, чтобы изменить текст капчи в UX и повысить безопасность, люди по всему миру много работали, руководствуясь принципом Черчилля, чтобы создать более эффективные, простые, лучше выглядящие или даже забавные капчи.

С тех пор, как Гарри Каспаров сыграл с Deep Blue, было совершено множество попыток перехитрить роботов. И эта борьба за достойные меры веб безопасности (читай: которым не наплевать на пользователя) продолжается.

Вот 9 альтернатив капче для лучшего UX

1. Милая капча

Милая капча смело превращает текст в более интересную (хорошо, немного слащавую) игру.

Сопоставлять категории и предметы требует человеческого разума, и привносит веселья чему-то ужасному (капче, конечно). Такая капча может быть отличным вариантом для некоторых, но, определенно не для всех сайтов. Можно представить себе портфолио, детские сайты или игры, которые только выиграют от этого. Это вряд ли подойдет более серьезным компаниям. Кроме того, они проблемы не решают. Конечно, их пройти легче, чем неприятный закодированный текст классической капчи. Но пользователям все также придется расшифровывать картинку или работать с изображениями.

2. Игровая капча

Попадите в список проверенных людей. Вы же человек, правда?

Как показано на видео, игровая капча использует сходный с милой капчей принцип проверки. Их игры могут быть действительно приятной функцией для некоторых сайтов. В любом случае, более интересный способ, чтобы доказать свою человечность (робот бы точно перепутал такси с едой).

3. Биометрическая безопасность

Использовать данные, которые связаны с вашей ДНК для обычной онлайн проверки может быть очень эффективно… и немного жутко.

У ваших девайсов наверняка есть камера и интеллектуальный экран/трекпад, и разработчики хотят повлиять на уровень безопасности. Что может отражать вас больше, чем ваши глаза, лицо или отпечатки пальцев, верно? Доступ к вашему телу очень сильно ограничит спамеров при создании учетных записей электронной почты. Это захватывающая разработка, но все же есть обоснованные опасения о краже, которая переходит на другой уровень с данными ДНК. А именно, когда кто-то крадет ваш пароль, вы создаете новый. Если кто-то украдет вашу сетчатку или отпечатки пальцев… ужасно.

4. Подтверждение по СМС

Двух — ступенчатая аутентификация эффективна против взломов, однако требует второго устройства, с не всегда хорошим UX.

Безопасность мобильных приложений, особенно игровых, пытается не отставать от массы, опираясь в основном на телефоны пользователей, а не на традиционные пароли и ID. Одна статья даже предрекает смерть паролей в игровых приложениях из-за этого нового тренда. Это может быть сигналом большого изменения в безопасности (учитывая, что у каждого пользователя есть телефон).

Подтверждение по СМС с помощью привлечения личных девайсов, привязанных только к аккаунту, решает вопрос с хакерами. Это также сигнализирует о возможности для большей персональности в процессе обеспечения безопасности с сообщениями, которые могут обращаться к некоторым пользователям.

5. Капча, в зависимости от активности пользователя

Некоторые капчи труднее расшифровать, чем другие. Подобная капча будет легкой для тех, кто ведет себя как реальный человек.

В ответ на проблемы UX традиционной капчи, такая капча задает вопрос: «Сколько будет стоит отказ пользователя вашей компании?». Ее адаптивная аутентификация отслеживает активность пользователей. Например, пользователь, который ведет себя как спам-робот получит сложную капчу, а пользователь, который больше напоминает человека, более простую. Умная и простая, но при этом все та же капча.

6. Метод ловушки

Скрытые поля обманывают роботов при заполнении того, чего обычные пользователи не видят. Я использовал это на Digital Telepathy в некоторых проектах с успехом.

Метод ловушки пытается полностью покончить с прерыванием рабочего процесса пользователя, как делают все остальные капчи. Он отсеивает ботов, обманывая их авто-заполнением. Поскольку эти поля невидимы обычным пользователям, риск совсем небольшой. Проблемы возникают из-за браузеров, когда они сами авто-заполняют иноформацию без предупреждения пользователя (да, да, Safari, я о тебе), и когда роботы более продвинутые.

7. Математическая капча

Оказывается, спам-боты не так уж сильны в математике. Простые вопросы, типа этих, могут помочь вычислить спамеров, сохраняя UX на уровне.

Разработчики выяснили, что подобные математические вопросы могут быть одними из самых эффективных вариантов для определения реальных пользователей. С этим плагином WordPress — математическая капча, можно выбрать, когда ваша капча будет активирована, а также несколько интересных форматов, которые можно применить. Например, можно выбрать простую математическую задачу или очень сложную, а также задачу со словами.

8. Взаимодоверяющая капча

Как быстро вы разглядите птицу на этой картинке? Вот настолько быстро эта капча может работать!

Это еще одно распознавание человека на основе изображения. Это дает 96% точности, что очень неплохо, к тому же работает в два раза быстрее, чем классическая капча. Взаимодоверяющая капча действует по такому принципу: показывает около девяти картинок и затем спрашивает три вопроса об этих картинках. Например, когда я первый раз попробовал, у меня спросили: «Найдите среди картинок напиток, деньги и космос». После того, как я успешно нашел их, мне сказали, что я хомосапиенс. Ура!

9. NoCAPTCHA от reCAPTCHA

Во-первых, Google создал алгоритм, который может взломать капчу. Теперь они меняют систему, путем отслеживания ваших данных. Удивленны?

NoCAPTCHA чуть больше года. Это следующий шаг от reCAPTCHA от Google. На самом деле, это копает канаву всему замыслу капчи.

Их решение? Показатели. Отслеживание данных пользователя покажет, человек он или нет, и просто предложит отметить это галочкой. UX в том, что NoCAPTCHA просит вас отметить галочку в поле «Я не робот». После этого — все, готово. Быстрый вариант еще проще. Он покажет вам изображение, скажем, кошки. Затем панель с изображениями под картинкой кошки. Нужно будет найти все картинки, связанные с кошкой (котята, тигры, львы, подумать только!) и тогда он поймет, да, вы человек.

Очевидность — лучшее решение

Открытая Аутентификация (OAuth) работает со сторонними организациями (думаю, Facebook, LinkedIn, Twitter), и проверяет вашу личность с помощью существующего профиля, который требует проверки подлинности, например, с помощью капчи, при самом первом использовании им вами. Результатом OAuth, как известно разработчикам, является «безопасный доступ», и наблюдается тенденция к распространению.

Разработчики, как те, кто создает альтернативы капче, обращают веб разочарования в дизайн возможности. Это указывает на более оптимистичную эпоху UX. Дизайнеры, с другой стороны, всегда ищут способы сократить помехи на сайтах и приложениях. От веселья, людей и проверочных тестов, до компаний, которые превращают свои 404 экраны в игры, мы видим разумность и легкость (признак хорошего дизайна), а также внедрение новых технологий, связанных с нашей ДНК, что делает аутентификацию и навигацию более естественной.

Современные потребители (и продукты) создают функции, которые плохо выглядят или работают. Функции, которые когда-то были ненадежными, становятся более интуитивными, красивыми и запоминающимися. Но даже если капча улучшается, мир по прежнему полон дизайнерских проблем, которые представляют множество возможностей для улучшения.

Captcha Decode Virus Удаление

Captcha Decode

Captcha Decode — это программа для отображения рекламы и перенаправления трафика в браузере, относящаяся к категории угонщиков браузера. Находясь в вашей системе, Captcha Decode интегрируется с основным браузером и вносит изменения в его домашнюю страницу, поисковую систему по умолчанию и страницу новой вкладки.

Вирус Captcha Decode может применять свои собственные настройки в вашем любимом веб-браузере, не запрашивая разрешения.

Присутствие Captcha Decode в вашем Chrome, Edge, Opera, Firefox или любом другом браузере, который вы используете в данный момент, может легко быть выданным из-за изменений, которые это программное обеспечение имеет тенденцию вносить.Как правило, эти изменения включают замену основной поисковой системы на другую, замену домашней страницы, установку новой панели инструментов или некоторых кнопок перенаправления, которые ведут на другие веб-сайты. Многие пользователи обычно сталкиваются с регулярными переадресациями на сайты, которые, как правило, происходят случайно и без их одобрения. Еще одним типичным признаком наличия таких программ, как Captcha Decode или Higher Captcha Settle в вашей системе, является постоянный поток рекламы, который поступает в виде баннеров, всплывающих окон, текстовых сообщений и рекламных ссылок во время ваших обычных сеансов просмотра.Что особенно раздражает, так это то, что вы не можете удалить эту рекламу со своего экрана, и вас часто соблазняет нажимать на них, поскольку они появляются прямо над вашими кнопками навигации или в других стратегических местах на мониторе.

К счастью, здесь мы предоставим вам набор подробных инструкций по удалению, которые вы можете использовать, чтобы избавиться от отвлекающей рекламы, с которой вы сталкивались. Фактически, в приведенном ниже руководстве по удалению мы поможем вам полностью удалить Captcha Decode и безопасно удалить внесенные в него изменения браузера из браузера, который был затронут.

CaptchaDecode

Вирус CaptchaDecode — это в основном программное обеспечение, которое не является вредоносным (по сравнению с вирусами из ранга троянов или программ-вымогателей) и не является удобным для пользователя. Однако, если вирус CaptchaDecode работает на вашем компьютере, он часто оказывает различные нежелательные эффекты на его производительность.

Например, такая программа, как Captcha Decode, может применять свои собственные настройки в вашем любимом веб-браузере, не запрашивая разрешения. Но это только верхушка айсберга.Приложения категории угонщиков браузера используются для поддержки рекламного бизнеса в Интернете, открывая для вас как можно больше спонсируемых всплывающих окон, уведомлений, рекламы и баннеров. В идеале такие программы хотят, чтобы вы нажимали на эти рекламные материалы и перенаправлялись на определенные сайты, которым нужен трафик и популярность.

И для этого программы, такие как Captcha Decode, часто обращаются к различным сомнительным методам онлайн-рекламы, таким как внесение нежелательных изменений в браузер, запуск автоматических перенаправлений страниц и даже сбор данных о трафике из взломанного браузера без одобрения пользователей.Таким образом, угонщики браузера могут иметь определенную степень контроля над вашей активностью при просмотре веб-страниц и вести вас на свои спонсируемые веб-страницы, не дожидаясь вашего разрешения. Это, конечно, раздражает и отвлекает, но также может быть довольно рискованным. Основная проблема заключается в том, что нет гарантии, что реклама и веб-сайты, на которые вы перенаправляетесь, являются абсолютно безопасными и надежными. Некоторые из них потенциально могут быть заражены вирусами или могут использоваться в качестве передатчиков таких угроз, как программы-вымогатели, трояны или шпионское ПО.Вот почему, как видите, не рекомендуется позволять программам, подобным Captcha Decode, заполнять ваш экран случайными рекламными роликами, и мы советуем вам удалить такие программы-угонщики браузера, прежде чем вы попадете на что-то опасное.

СВОДКА:

Удалить вирус декодирования капчи

1. Посмотрите, сможете ли вы определить какие-либо подозрительные программы, ответственные за заражение вашего компьютера угонщиком, и удалите их.
2. Проверьте, запущены ли процессы угонщика прямо сейчас, и если это так, остановите его и удалите его файлы.
3. Отменить изменения, внесенные функцией Captcha Decode в файл Hosts, системный реестр, элементы автозагрузки или настройки DNS.
4. Зайдите в каждый из ваших браузеров и очистите его от мошеннических компонентов и данных.

Каждый файл будет просканирован с помощью до 64 антивирусных программ для обеспечения максимальной точности.

Этот сканер бесплатный и всегда будет бесплатным для пользователей нашего веб-сайта.

Этот файл не соответствует ни одной известной вредоносной программе в базе данных. Вы можете выполнить полное сканирование файла в реальном времени или пропустить его, чтобы загрузить новый файл.Полная проверка с помощью 64 антивирусных программ может занять до 3-4 минут на файл.

Анализ 0 с

Каждый файл будет просканирован 64 антивирусными программами для обеспечения максимальной точности

• HKEY_CURRENT_USER / Программное обеспечение / Случайный каталог
• HKEY_CURRENT_USER / Software / Microsoft / Windows / CurrentVersion / Run
• HKEY_CURRENT_USER / Программное обеспечение / Microsoft / Internet Explorer / Основной

decryptr / decryptr: расширяемый API для взлома капч

Обзор

decryptr — это пакет R для взлома капч. Это также расширяемый инструмент, созданный таким образом, чтобы каждый мог внести свой вклад код для взлома капчи.

Чтобы установить decryptr , просто запустите следующий код:

, если (! Require (devtools)) install.пакеты ("инструменты разработчика")
devtools :: install_github ("расшифровка / дешифровка") 

Базовое использование

decryptr имеет функции для загрузки и взлома капч из несколько известных источников. Если вы хотите использовать этот пакет, давайте скажем, RFB (Receita Federal), вы можете выполнить следующие шаги:

 # Скачать капчу из РФБ
файл <- download_captcha ("rfb", path = "./img")

# Взломать капчу
дешифровать (файл, модель = "rfb") 

Просто, правда? Функция decrypt () - это рабочая лошадка этого пакета: может вводить капчу (либо путь к файлу капчи, либо объект captcha читается с помощью read_captcha () ) и разбивает его с помощью модели (либо имя известной модели, либо путь к файлу модели, либо модель объект, созданный с помощью train_model () ).

Если вы хотите визуализировать капчу и убедитесь, что расшифровка работая, вы можете использовать функцию plot () , чтобы нарисовать изображение captcha:

 # Читать капчу
captcha <- read_captcha (файл)

# Построить капчу
сюжет (капча [[1]]) 

Если вы хотите узнать больше об уже упакованных моделях с decryptr , проверьте документацию load_model () (и все эти модели также имеют соответствующий метод download_captcha () , поэтому ты всегда в порядке).

Расширенное использование

Если вы хотите создавать свои собственные модели взлома капчи, есть некоторые другие функции, о которых вы, возможно, захотите узнать. classify () позволяет пользователю вручную ответить на список капч, а train_model () берет кучу классифицированных капч и обучает keras модель на им.

classify () имеет два режима: статический и интерактивный. Если ты уже знаешь ответы на все капчи, просто превратите их в вектор строк и передать его в аргумент ответов ; с другой стороны, если вы собираетесь чтобы вручную классифицировать капчи, classify () построит каждую капчу и подскажет вам в консоли их ответы.В приведенном ниже фрагменте я использовать статическую классификацию для обозначения набора из 10 капч:

 # URL капчи (в иллюстративных целях я буду использовать
# URL-адрес RFB, но вы можете использовать любой URL-адрес, который хотите)
url <- paste0 (
  "http://www.receita.fazenda.gov.br/pessoajuridica/",
  "cnpj / cnpjreva / captcha / gerarCaptcha.asp")

# Скачать капчу с URL
файлы <- download_captcha (url, n = 10, path = "./img")

# Ответы на скачанные капчи
ответы <- c (
  "fvhca9", "cyz4vl", "luzdve", "lb9mnq", "9bquah",
  «d1zwau», «mlvk1t», «g6zbyf», «17xauo», «bo6cdg»)

# Классифицируйте капчи (если ответы не были предоставлены,
# Мне бы предложили интерактивную классификацию)
new_files <- classify (файлы, ответы, путь = "./ img ") 

Теперь, когда у нас есть набор секретных капч, мы можем использовать их для обучения модель взлома капчи. classify () использовал наши ответы для создания нового версия каждого файла, одна с ответом в конце имени файла разделены знаком подчеркивания; read_captcha () имеет ans_in_path аргумент, который говорит ему искать ответы в именах файлов и соответственно создайте объекты капчи.

С этим списком помеченных объектов капчи мы можем вызвать train_model () для создания модели.Модель автоматически сохраняется на диск, чтобы мы можем загрузить его позже с помощью load_model () .

 # Прочитать отвеченные капчи
капчи <- read_captcha (new_files, ans_in_path = TRUE)

# Используйте капчи для обучения модели
модель <- train_model (captchas, verbose = FALSE)

# Используйте нашу новую модель для расшифровки
расшифровать (файл, модель = модель) 

 # Мы также могли загрузить модель с диска
модель <- load_model ("./ model.hdf5") 

Производительность

После загрузки в память модели keras работают очень быстро. запустите любую предварительную обработку изображения, поэтому расшифровка выполняется очень быстро.

 микробенчмарк :: микробенчмарк (расшифровать = расшифровать (капча, модель)) 

  ## Единица: миллисекунды
## expr min lq mean median uq max neval
## дешифровать 42.44801 46.52944 49.62947 48.48889 51.27224 109.3463 100
  

Новый инструмент искусственного интеллекта может декодировать защитные капчи

Программа была протестирована на схемах капчи, используемых на многих самых популярных веб-сайтах мира, включая eBay, Wikipedia и Microsoft.

Исследователи создали новый инструмент искусственного интеллекта, который может считывать текстовые схемы капчи, используемые для защиты большинства самых популярных веб-сайтов в мире от кибератак.Исследователи заявили, что с помощью настольного ПК он может решить капчу за 0,05 секунды. Это означает, что эта первая защита многих веб-сайтов больше не является надежной.

Алгоритм на сегодняшний день является наиболее эффективным решателем системы безопасности и аутентификации капчи и может положить конец одной из наиболее широко используемых систем безопасности веб-сайтов. В текстовых капчах используется набор букв и цифр, а также другие функции безопасности, такие как закрывающие линии, чтобы различать людей и вредоносные автоматизированные компьютерные программы.Он полагается на людей, которым легче расшифровать персонажей, чем машины.

Инструмент, разработанный Ланкастерским университетом в Великобритании, Северо-Западным университетом в США и Пекинским университетом в Китае, обеспечивает значительно более высокую точность, чем предыдущие системы атаки по капче. Он может успешно взламывать версии капчи, в которых предыдущие системы атаки не сработали. Решатель также очень эффективен. Исследователи заявили, что с помощью настольного ПК он может решить капчу за 0,05 секунды.

Этот метод включает обучение программы генератора капчи для создания большого количества обучающих кодов, которые неотличимы от настоящих капч. Затем они используются для быстрого обучения решателя, который затем дорабатывается и тестируется на реальных капчах.

Используя автоматический генератор капчи с машинным обучением, исследователи или потенциальные злоумышленники могут значительно сократить усилия и время, необходимые для поиска и ручной маркировки капч для обучения своего программного обеспечения.Для этого требуется всего 500 подлинных капч вместо миллионов, которые обычно требуются для эффективной тренировки программы атаки.

Атака с машинным обучением

Предыдущие решатели капчи специфичны для одного конкретного варианта капчи. Прежние системы атак с машинным обучением требовали больших затрат труда на создание, требуя большого количества ручных тегов капч для обучения систем.

Они также легко становятся устаревшими из-за небольших изменений в функциях безопасности, используемых в капчах.Поскольку новый решатель требует небольшого участия человека, его можно легко перестроить для работы с новыми или модифицированными схемами капчи.

Программа была протестирована на 33 схемах капчи, 11 из которых используются на многих самых популярных веб-сайтах мира, включая eBay, Wikipedia и Microsoft.

«Мы впервые показываем, что злоумышленник может быстро начать атаку на новую текстовую схему капчи с очень небольшими усилиями», - сказал Чжэн Ван, старший преподаватель Ланкастерского университета.

Это пугает, потому что это означает, что первая защита многих веб-сайтов уже не является надежной. Это означает, что капча открывает огромную уязвимость в системе безопасности, которую можно использовать во многих атаках.

«Это позволяет злоумышленнику запускать атаки на службы, такие как атаки типа« отказ в обслуживании »или расходование спама или сообщений о ловле рыбы, для кражи личных данных или даже подделки идентификаторов пользователей», - сказал Гуйсинь Е, ведущий студент, автор исследования. «Учитывая высокий уровень успешности нашего подхода для большинства схем текстового ввода капчи, веб-сайты должны отказываться от капчи.”

[PDF] Препятствие для взлома CAPTCHA с помощью визуального дешифрования

ПОКАЗЫВАЕТ 1-10 ИЗ 21 ССЫЛКИ

СОРТИРОВАТЬ ПО Релевантности Статьи, на которые наибольшее влияние оказали недавнее время

Нарушение визуального CAPTCHA с помощью наивных алгоритмов распознавания образов

 Мы воспользовались слабостью вашего сервера и заблокировали ваши файлы.
Защита сервера - важная составляющая успешного и безотказного
использование файлов и обмен личной информацией вашей компании.

ПОЖАЛУЙСТА, обратите внимание, что сторонние программы восстановления могут ПОВРЕДИТЬ ваши файлы.
и вызвать безвозвратную потерю важных данных. Никаких экспериментов по восстановлению
делаются на ваш страх и риск.При запросе помощи по восстановлению укажите КЛЮЧ
что можно найти в названии заблокированных файлов.

Если вы откажетесь восстанавливать файлы, они останутся заблокированными навсегда.

======= Почтовый адрес для связи =======

Main = [email protected] (отвечаем в течении 24 часов)
Spare = [email protected] (напишите сюда, если не получили ответ с основного адреса электронной почты)

Пожалуйста, обратите внимание
Также мы поможем вам защитить ваш сервер от угроз со стороны
сети и указывать на ошибки, допущенные администратором и модераторами.- Срок восстановления ограничен! -